Francuska suwerenność cyfrowa i bezpieczny hosting plików

Wymagania francuskiej suwerenności cyfrowej w hostingu plików koncentrują się na trzech kwestiach: gdzie dane fizycznie się znajdują, kto ma do nich legalny dostęp i czy dostawcę można zmusić prawem zagranicznym do ich ujawnienia. W 2026 r. podmioty sektora publicznego i regulowani nabywcy coraz częściej wymagają kwalifikacji SecNumCloud przyznawanej przez ANSSI, przechowywania danych na terytorium Francji lub UE u dostawców podlegających prawu francuskiemu oraz odporności na prawa o zasięgu eksterytorialnym, takie jak amerykańska ustawa CLOUD Act. Doktryna „Cloud au centre", sformalizowana w okólniku Premiera z maja 2021 r. i wzmocniona od tamtej pory, czyni z tego wymóg przetargowy, a nie tylko preferencję.

Dlaczego suwerenność ma znaczenie dla transferu plików

Francuski szpital przesyłający obrazowanie pacjentów przez usługę transferu plików z siedzibą w USA tworzy trzy problemy. Po pierwsze, CLOUD Act (2018) pozwala amerykańskim organom ścigania zobowiązać dostawcę do udostępnienia danych klientów niezależnie od miejsca ich przechowywania. Po drugie, sekcja 702 FISA obejmuje komunikację osób spoza USA w sposób, który wielokrotnie wywoływał orzeczenia Schrems ze strony TSUE. Po trzecie, art. 3 francuskiej Loi de Programmation Militaire i niedawna ustawa o cyberbezpieczeństwie oczekują, że wrażliwe sektory będą korzystać z dostawców odpornych na takie przymusy. Dane transferu plików nie są zazwyczaj „tajemnicą obrony", ale dokumentacja medyczna, strategia prawna i dokumenty B+R często podlegają sektorowym ochronom zbieżnym z wymogami suwerenności.

SecNumCloud: co oznacza kwalifikacja

SecNumCloud to kwalifikacja chmurowa ANSSI. Testuje zarówno bezpieczeństwo techniczne, jak i niezależność prawną. Referential v3.2 z 2022 r., zaktualizowany do v3.2bis z wyjaśnieniami w latach 2023-2024, dodał wyraźne kryteria odporności: kapitał dostawcy, jego umowy i decyzje zarządcze muszą być tak skonstruowane, aby prawo spoza Europy nie mogło wymusić ujawnienia danych. W praktyce: większościowa własność europejska, podmioty umowne z prawem europejskim i europejska kontrola operacyjna. Kwalifikowani dostawcy w 2026 r. to OVHcloud (Hosted Private Cloud), Outscale, Worldline, Bleu (joint venture Microsoft-Orange-Capgemini dla suwerennego Azure) i S3NS (Thales-Google Cloud). Lista jest krótka, ponieważ poprzeczka jest wysoka.

Hosting francuskich danych zdrowotnych: certyfikacja HDS

Niezależnie od SecNumCloud, hosting danych zdrowotnych we Francji wymaga certyfikacji HDS (Hébergeur de Données de Santé) na podstawie art. L1111-8 Kodeksu zdrowia publicznego. HDS obejmuje dwa zakresy: hosting infrastrukturalny i hosting outsourcowany, audytowane według ramowej metodyki zbieżnej z ISO 27001 i kontrolami sektorowymi. Każda usługa transferu plików używana przez francuskie szpitale, kliniki lub laboratoria medyczne obsługujące PHI musi posiadać certyfikację HDS lub znajdować się za platformą z certyfikatem HDS. Lista certyfikowanych hostów jest publiczna na stronie eSanté. Hosting francuskich danych zdrowotnych bez HDS to naruszenie umowne i regulacyjne, nawet jeśli dane są zaszyfrowane.

Francuskie prawo dotyczące przechowywania danych i dostępu organów ścigania

Francuskie organy ścigania mogą uzyskać dostęp do hostowanych plików na podstawie artykułów kodeksu postępowania karnego o czynnościach cyfrowych, wymagając nakazu sądowego w większości przypadków i uzasadnionej podstawy proceduralnej. Dla służb wywiadowczych Loi du 24 juillet 2015 o wywiadzie pozwala na określone przechwytywanie z uprzednim zezwoleniem. Żaden z tych reżimów nie przypomina amerykańskich National Security Letters ani tajnego procesu FISA 702. Hosting skoncentrowany na suwerenności oznacza, że dane nadal mogą być dostępne dla francuskich władz — ale na podstawie prawa francuskiego, z francuską kontrolą sądową. Wielu francuskich regulowanych nabywców preferuje tę opcję od zagranicznych reżimów ujawniania, których nie kontrolują.

Alternatywy europejskie i Gaia-X

Poza czysto francuskimi dostawcami, szerszy europejski ekosystem chmurowy oferuje suwerenność poprzez framework Gaia-X, który definiuje kryteria federowanych danych i usług, w tym lokalizację dostawcy i warunki umowne. Etykiety Gaia-X na różnych poziomach wskazują głębokość zgodności. Uczestniczą w nich dostawcy jak OVHcloud, Scaleway, IONOS, Hetzner i T-Systems. Dla transferu plików praktyczne pytanie brzmi, czy infrastruktura dostawcy — od backendu pamięci masowej po CDN i obserwowalność — działa u dostawców podlegających prawu europejskiemu, czy też fragmenty stosu „uciekają" do sfery US. Usługa transferu na AWS Paris z firmą-matką w USA nie spełnia kryteriów suwerenności SecNumCloud.

Eksterytorialność i CLOUD Act w praktyce

CLOUD Act upoważnia rząd USA do żądania przechowywanych danych od dostawców usług z siedzibą w USA, niezależnie od tego, gdzie dane się znajdują. W 2023 i 2024 r. kilka głośnych decyzji przetargowych we Francji wyraźnie wykluczyło chmury z siedzibą w USA, nawet gdy oferowały one regiony wyłącznie w UE. Uzasadnienie prawne: szyfrowanie w spoczynku nie blokuje ujawnienia, jeśli dostawca kontroluje klucze. Usługa transferu plików klasy suwerennej trzyma klucze wyłącznie w podmiotach europejskich — lub jeszcze lepiej stosuje szyfrowanie end-to-end, tak że dostawca nie ma tekstu jawnego do ujawnienia nawet pod przymusem.

Język zamówień publicznych egzekwujący suwerenność

Francuscy zamawiający coraz częściej wpisują suwerenność do zapytań ofertowych za pomocą konkretnych klauzul. Typowe sformułowanie: dostawca musi posiadać kwalifikację SecNumCloud, dane muszą pozostawać na terytorium Francji lub UE, operator i jego podprzetwarzający muszą podlegać prawu UE, a dostęp przez organy spoza UE na podstawie obcego prawa jest niedozwolony. Do naruszeń dołączone są egzekwowalne kary. Prywatne firmy w sektorach regulowanych (bankowość, ubezpieczenia, obrona) przyjmują podobne szablony. Nawet poza sektorami regulowanymi, francuska Loi sur le Renseignement z 2023 r. i ogłoszenia strategii przemysłowej z 2024 r. uczyniły suwerenność tematem zarządczym.

Konsekwencje dla wyboru narzędzi transferu plików

Dla francuskich podmiotów przetwarzających wrażliwe dane, drzewo decyzyjne w 2026 r. wygląda następująco: czy dane podlegają przepisom sektorowym (zdrowie, obrona, administracja publiczna)? Wybierz dostawcę z kwalifikacją SecNumCloud lub certyfikacją HDS. Czy dane są wrażliwe, ale nieuregulowane? Wybierz dostawcę z prawem UE, hostingiem w UE i silnymi zobowiązaniami umownymi. Czy dane mają niską wrażliwość? Standardowe narzędzia hostowane w UE, spełniające RODO, są odpowiednie. We wszystkich przypadkach liczy się podejście do szyfrowania: szyfrowanie end-to-end po stronie klienta neutralizuje wiele zagrożeń ujawnienia, ponieważ dostawca dosłownie nie może odczytać pliku.

HexaTransfer szyfruje pliki w przeglądarce przy użyciu AES-256-GCM przed przesłaniem, więc szyfrogram na infrastrukturze UE jest nieczytelny dla usługi ani żadnej strony niemającej fragmentu łącza z kluczem. Wypróbuj na hexatransfer.com — bezpłatnie, bez konta, maksymalnie 10 GB.

Francuska suwerenność cyfrowa to nie izolacjonizm. To zestaw konkretnych kontroli prawnych i technicznych, które sprawiają, że ujawnianie danych podlega prawu francuskiemu lub europejskiemu. Właściwy stos dla hostingu plików łączy kwalifikowanego dostawcę dla obciążeń regulowanych, szyfrowanie po stronie klienta dla wszystkiego innego i umowy wskazujące jurysdykcję Francji lub UE. Cokolwiek poniżej tego standardu pozostawia lukę, przez którą może wejść zdeterminowany organ zagraniczny — a polskie przepisy RODO i nadzór UODO działają w tym samym duchu budowania weryfikowalnej odpowiedzialności.